Accord de traitement des données

JOIN s’est donné pour mission de connecter les chercheurs d’emploi et les entreprises dans le monde entier. Les entreprises peuvent utiliser la plateforme JOIN sur https://join.com/ (ci-après désignée la « Plateforme ») pour publier des postes vacants et gérer les candidatures reçues en un seul endroit.

JOIN fournit des services à la Société selon l’accord de services conclu entre les parties (« Services »). Les Services incluent notamment la possibilité pour la Société de publier des offres d’emploi et gérer les procédures de candidature associées sur la Plateforme à l’aide d’un outil de gestion en ligne. Dans le contexte des Services, les données personnelles contrôlées par la Société sont traitées par JOIN agissant en tant que sous-traitant au sens de la législation en vigueur sur la protection des données.

Les données personnelles peuvent être traitées par JOIN en tant que responsable du traitement au sens de la législation en vigueur sur la protection des données. Veuillez vous référer à la Politique de Confidentialité de JOIN pour plus d’informations.

Le présent DPA a pour objet de protéger les parties contre l’utilisation abusive des données personnelles traitées pour les Services, d’assurer la protection des données par JOIN en raison des données personnelles que la Société lui a communiquées, et de respecter les exigences légales applicables.

Sauf accord contraire explicite, le présent DPA fait partie intégrante de tout accord de service entre la Société et JOIN. Ce DPA, y compris toutes les annexes, précise également les obligations de protection des données des parties découlant de l’accord de service sous-jacent comme suit :

1. Les dispositions suivantes s’appliquent uniquement aux Services qui constituent un traitement de données dans le cadre de l’accord de service.
2. Lorsque le présent DPA utilise des termes définis par le RGPD ou la LPD, selon le cas, ces termes ont la même signification que dans cette loi. Le présent DPA doit être lu et interprété à la lumière des dispositions du Règlement général sur la protection des données de l’UE (« RGPD ») et de la Loi fédérale suisse sur la protection des données (« LPD »), selon le cas. Le présent DPA ne doit pas être interprété d’une manière qui entre en conflit avec les droits et obligations prévus par le RGPD ou la LPD, selon le cas, ou qui porte atteinte aux droits fondamentaux ou aux libertés des personnes concernées.

1. Dans le cadre du présent DPA, JOIN traitera les données personnelles exclusivement pour le compte et conformément aux instructions de la Société. Cela inclut notamment les services de traitement que JOIN fournit à la Société au sein des Services conformément à l’accord de service. Dans cet accord de service et à la section 4, les parties ont précisé les détails conformément à l’art. 28 (3) et (4) du RGPD et à l’art. 9 de la LPD, notamment l’objet et la durée du traitement des données, ainsi que les modalités, la nature et la finalité du traitement des données prévu, le type de données et les personnes concernées.
2. Le traitement des données par JOIN pour le compte de la Société est effectué conformément à l’art. 28 RGPD et à l’art. 9 LPD, en ce qui concerne chaque loi uniquement si et dans la mesure où elle est applicable à l’activité de traitement respective. La Société reste toujours l’entité responsable du traitement des données.
3. Sans préjudice des dispositions du RGPD ou de la LPD, selon le cas, dans l’hypothèse où JOIN violerait ses obligations au titre du présent DPA, la Société peut demander à JOIN de suspendre temporairement le traitement des données personnelles jusqu’à ce que cette dernière se conforme au présent DPA ou jusqu’à la résiliation du contrat. JOIN informe promptement la Société dans le cas où il ne serait pas en mesure de se conformer au présent DPA, pour quelque raison que ce soit. JOIN informe immédiatement la Société si des instructions données par la Société, selon JOIN, enfreignent les dispositions applicables du droit de l’Union, d’un État membre ou du droit suisse en matière de protection des données.
4. Le présent DPA demeure pleinement en vigueur et produit ses effets tant que l’accord de services sous-jacent reste en vigueur. Toute disposition du présent DPA qui, expressément ou implicitement, doit entrer en vigueur ou continuer de produire ses effets à compter de la résiliation de l’accord de services sous-jacent afin de protéger les données personnelles demeure pleinement en vigueur et produit ses effets.

Les dispositions du présent DPA font partie intégrante de l’accord de service entre les parties et prévalent sur les autres accords contractuels des parties en matière de protection des données, notamment les autres contrats contenant des dispositions qui s’écartent de celles du présent DPA au détriment de la Société. La clause 1.1 reste inchangée. Les dispositions du présent DPA ne s’appliquent pas au traitement des données personnelles que JOIN, en tant que responsable du traitement, fournit à la Société ou à tout autre utilisateur individuel. La responsabilité de chaque partie découlant du présent DPA ou en lien avec celui-ci est soumise aux limitations et exclusions de responsabilité prévues dans l’accord de services conclu entre les parties.

Les parties conviennent par la présente que la finalité du traitement des données est la fourniture des Services par JOIN conformément à l’accord de service. La portée et la nature de la collecte, du traitement et/ou de l’utilisation des données personnelles sont déterminées par les dispositions de l’accord de service ainsi que par les Services effectivement utilisés par la Société.

Les personnes concernées par le traitement des données personnelles dans le cadre de l’accord de service comprennent :

• les candidats aux postes publiés par la Société via la Plateforme ; et
• les employés de la Société utilisant la Plateforme au nom de la Société.

Les types de données suivants sont particulièrement concernés par le traitement sous-traité :

• Les données personnelles des candidats (p.ex. nom, titre, diplôme académique, date de naissance, numéro de téléphone, adresse e-mail),
• les données transmises par les candidats (données de candidature ; curriculum vitae, références, certificats, etc.),
• toutes les informations relatives au processus de candidature enregistrées dans le cadre des Services et de la Plateforme de JOIN, telles que les messages envoyés via la Plateforme, les informations sur le processus de candidature et la progression d’un candidat dans le processus de candidature enregistrée sur notre Plateforme, ou les questions posées dans le cadre du processus de candidature et enregistrées sur notre Plateforme,
• les données générées par l’utilisation des Services, telles que les métadonnées, notamment les informations sur la durée d’un processus de candidature, le nombre de candidats ayant postulé et la progression d’un candidat dans le processus de candidature,
• les données générées par les interactions avec les Services, telles que les réponses aux questions posées par les candidats, les données enregistrées par la Société elle-même qui n’ont pas été supprimées de la Plateforme et les messages d’établissement de contact avec les candidats ou JOIN,
• Les données personnelles (p.ex. nom, intitulé de poste, adresse e-mail, numéro de téléphone, adresse professionnelle) et les données d’accès (p.ex. nom d’utilisateur et mot de passe) des employés de la Société.

Si ces données sont traitées dans le cadre d’autres Services de JOIN où JOIN agit comme responsable de traitement, cela ne relève pas du champ d’application du présent DPA. Référence est faite à la Politique de Confidentialité de JOIN.

1. La Société est seule responsable de l’évaluation de la licéité du traitement des données effectué par JOIN pour le compte de la Société et de la sauvegarde des droits des personnes concernées. La Société est notamment, mais pas exclusivement, responsable de (1) remplir les obligations d’information en matière de protection des données à l’égard des candidats, (2) obtenir et documenter le consentement nécessaire des candidats pour le traitement des données par la Société ou JOIN, conformément à la législation en vigueur sur la protection des données, et (3) respecter les délais de suppression applicables au processus de candidature respectif.
2. En tant que responsable du traitement, la Société est habilitée à tout moment à donner des instructions sur la nature, la portée et la procédure du traitement des données effectué pour le compte de la Société. Les instructions verbales doivent être confirmées par la Société par écrit (y compris par e-mail). JOIN devra confirmer promptement la réception et l’exécution de ces instructions et informer la Société si, de son avis, une instruction enfreint la législation applicable en matière de protection des données.
3. Si la Société le juge nécessaire, des personnes habilitées à donner des instructions peuvent être désignées. Les informations doivent être fournies par écrit par la Société. En cas de changement des personnes habilitées à donner des instructions au sein de la Société, la Société en informera JOIN en temps utile, en indiquant la ou les nouvelles personnes dans chaque cas.
4. La Société informera JOIN si des erreurs ou des irrégularités sont détectées en lien avec le traitement des données personnelles par JOIN.
5. La Société est habilitée à vérifier la conformité des mesures de sécurité des données techniques et organisationnelles prises par JOIN conformément à la section 9 avant le début du traitement des données, puis à intervalles réguliers, mais au maximum une fois par an, après une notification préalable en temps utile d’au moins 30 jours pendant les heures normales de bureau et en tenant compte des intérêts de JOIN. La Société peut également faire effectuer ce contrôle par un tiers, à condition qu’il ait préalablement conclu un accord de confidentialité. La Société est tenue de rémunérer les personnes chargées de mettre en œuvre ces mesures.
6. La Société est tenue d’informer JOIN des incidents de protection des données ou d’autres violations de la législation en vigueur sur la protection des données affectant les activités de traitement de JOIN.
7. La Société informera JOIN sans délai si elle prend connaissance de mesures spécifiques prises par les autorités de contrôle affectant la Société, notamment des mesures d’enquête des autorités, à condition que cela affecte le traitement des données pour la Société et que la Société ne soit pas tenue de maintenir la confidentialité.

1. Traitement des données. JOIN est tenue de traiter les données personnelles dans le cadre du présent DPA uniquement conformément au présent accord et/ou à l’accord de service sous-jacent et aux instructions de la Société.

2. Droits des personnes concernées. JOIN aidera la Société dans toute la mesure du possible dans l’exercice des droits des personnes concernées, notamment en ce qui concerne la rectification, la limitation du traitement et la suppression, la notification et la fourniture d’informations.

   JOIN devra, sur instruction de la Société, rectifier, supprimer ou limiter le traitement des données personnelles traitées pour le compte de la Société. Cette obligation ne s’applique pas aux données personnelles que JOIN traite en tant que responsable du traitement dans le cadre des services qu’elle propose via la Plateforme.

   Si une personne concernée contacte JOIN directement pour demander la rectification, la suppression ou la limitation du traitement de ses données personnelles, JOIN transmettra cette demande à la Société immédiatement à réception. La Société reste responsable de l’exécution des demandes.

3. Obligations de contrôle interne. JOIN mettra en œuvre les mesures de contrôle appropriées, p.ex. des audits internes, un concept de protection des données, etc., afin de s’assurer que les données personnelles traitées dans le cadre du présent DPA le sont conformément au présent accord et aux instructions correspondantes.

4. Obligation d’information. JOIN, en tant que sous-traitant, informera la Société si, selon sa propre évaluation, une instruction viole les dispositions légales. JOIN sera alors habilitée à suspendre l’exécution de l’instruction correspondante jusqu’à ce qu’elle soit modifiée par la Société. Cela ne justifie pas pour autant l’obligation de contrôle ou de notification de JOIN.

   JOIN notifiera la Société de toute violation de la sécurité des données relative aux données traitées par JOIN (« Violation des Données Personnelles ») au plus tard 48 heures après en avoir pris connaissance. Cette notification devra inclure, au minimum :

   1. une description de la nature de la violation (incluant, dans la mesure du possible, les catégories et le nombre approximatif de personnes concernées et d’enregistrements de données concernés) ;
   2. les conséquences probables de la violation ; et
   3. les mesures prises ou proposées pour remédier à la violation et atténuer les éventuels effets négatifs.

   Si l’accès aux données personnelles que la Société a transmises à JOIN pour le traitement des données est mis en péril par des mesures prises par des tiers (p.ex. mesures prises par un administrateur d’insolvabilité, saisie par les autorités fiscales, etc.), JOIN est tenue d’en notifier la Société.

   JOIN ne transmettra des informations à une partie demandant des informations qu’après accord préalable avec la Société, sauf si JOIN est tenue de fournir des informations en vertu de mesures gouvernementales ou de décisions judiciaires.

   Lorsqu’une Violation des Données Personnelles résulte de la compromission, de la perte ou de la divulgation non autorisée des identifiants, systèmes ou du personnel propres à la Société, JOIN agit strictement en qualité de sous-traitant et ses obligations se limitent à notifier la Société conformément au présent DPA. JOIN n’a aucune obligation d’effectuer des notifications au nom de la Société. JOIN peut décider, seul ou à la suite d’une demande de la Société, de notifier aux personnes concernées l’existence d’une violation afin que ces personnes concernées puissent prendre les mesures nécessaires pour atténuer les risques et prévenir tout accès non autorisé supplémentaire à l’infrastructure de JOIN.

5. Établissement d’un registre de traitement. Sur demande, JOIN aidera la Société à établir une liste des activités de traitement dans le cadre du DPA et du traitement des données en cours, et fournira les informations nécessaires de manière appropriée.

   JOIN tiendra également son propre registre de toutes les catégories d’activités de traitement effectuées pour le compte de la Société, conformément aux dispositions de la législation en vigueur sur la protection des données.

6. Obligations de déclaration et de coopération. JOIN aidera la Société sur demande dans :

   1. l’accomplissement de ses obligations de déclaration ;
   2. l’obligation de réaliser des analyses d’impact sur la protection des données ;
   3. les obligations de notification et de communication des violations de données personnelles ;
   4. toute consultation préalable avec les autorités de contrôle.

7. Lieu de traitement des données. Sauf accord contraire entre les parties, le traitement et l’utilisation des données par JOIN ont lieu en Suisse, dans l’Union européenne ou dans un autre État partie à l’Accord sur l’Espace économique européen. Tout transfert des activités de traitement des données de JOIN vers un pays tiers n’est autorisé que si les exigences spéciales du Chapitre V du RGPD ou de la Section 2 de la LPD sont respectées. La Société accepte que lorsque JOIN fait appel à un sous-traitant ultérieur conformément au présent accord pour effectuer des activités de traitement spécifiques (pour le compte de la Société) dans un pays tiers et que ces activités de traitement impliquent un transfert de données personnelles au sens du RGPD ou de la LPD, selon le cas, JOIN et le sous-traitant ultérieur peuvent utiliser les clauses contractuelles types adoptées par la Commission sur la base de l’article 46(2) RGPD afin de satisfaire aux exigences du Chapitre V du RGPD, à condition que les conditions d’utilisation de ces clauses soient remplies et qu’une évaluation interne ait conclu que ce transfert répond au niveau de protection des données du RGPD et de la LPD.

8. Suppression des données personnelles après la résiliation de l’accord. Après la résiliation de l’accord de service, JOIN est tenue de supprimer toutes les données personnelles traitées au nom de la Société et de certifier à la Société qu’il l’a fait, et de supprimer les copies existantes, à moins que le droit de l’Union, d’un État membre ou le droit suisse n’exige la conservation des données personnelles. Cette obligation de suppression ne s’applique pas aux données personnelles que JOIN traite en tant que responsable du traitement dans le cadre des services qu’elle propose via la Plateforme.

1. JOIN met à la disposition de la Société toutes les informations raisonnablement nécessaires pour démontrer le respect des obligations énoncées dans le présent DPA et découlant directement du RGPD ou de la LPD et, à la demande de la Société, permet et contribue aux vérifications des fichiers de données et de la documentation ou aux audits des activités de traitement couvertes par le présent DPA, en particulier en cas d’indices de non-conformité. La Société peut choisir de réaliser l’audit elle-même, de mandater, à ses propres frais, un auditeur indépendant ou de se fonder sur un audit indépendant mandaté par JOIN. Lorsque JOIN mandate un audit, il doit en supporter les frais de l’auditeur indépendant. Les droits d’audit, d’accès et d’inspection de la Société au titre de la présente section 9.1 se limitent aux seuls registres de JOIN (incluant notamment les registres des activités de traitement de données personnelles, les registres des destinataires de données personnelles) et ne s’appliquent pas aux locaux physiques de JOIN. Tout audit et toute demande d’information seront limités aux informations nécessaires aux fins du présent DPA et tiendront dûment compte des obligations de confidentialité de JOIN et de son intérêt légitime à protéger ses secrets commerciaux.
2. JOIN aidera la Société à effectuer les contrôles dans la meilleure mesure de ses capacités et fournira des éclaircissements rapides et complets si nécessaire.
3. JOIN acceptera toute mesure de contrôle de l’autorité de contrôle de la protection des données s’il existe une obligation légale à cet effet. Elle informera la Société conformément à la section 8.4 après notification ou prise de connaissance de la mise en œuvre de la mesure de contrôle et d’autres demandes ou enquêtes de l’autorité de contrôle de la protection des données, dans la mesure où les mesures ou demandes peuvent affecter le traitement des données que JOIN fournit à la Société et JOIN n’est pas légalement tenue de maintenir la confidentialité.
4. Sur demande, JOIN confirmera par écrit la conformité avec les mesures techniques et organisationnelles précisées à l’Annexe 1 et avec la certification ISO 27001:2022 de JOIN.

1. JOIN est habilitée à confier le traitement des données à des sous-traitants ultérieurs conformément aux dispositions suivantes :

   • JOIN sélectionne soigneusement les sous-traitants ultérieurs en fonction de leur aptitude et de leur fiabilité et s’assure que le sous-traitant ultérieur respectif assure un niveau approprié de protection des données.
   • JOIN est tenue de conclure des accords contractuels avec les sous-traitants ultérieurs conformément aux accords en vigueur dans la relation entre la Société et JOIN, et de veiller à ce que toute instruction complémentaire de la Société s’applique également aux sous-traitants ultérieurs.
   • JOIN informera la Société sous forme de texte en temps utile, c’est-à-dire au plus tard 30 jours avant le début de la sous-traitance prévue, de tout changement prévu concernant l’intervention ou le remplacement des sous-traitants listés à l’Annexe 2, donnant ainsi à la Société la possibilité de s’opposer à ces changements avant l’engagement du sous-traitant ultérieur concerné. Une telle objection ne doit pas être soulevée de manière déraisonnable. Si la Société ne s’oppose pas à ces changements, ceux-ci sont réputés approuvés.
2. JOIN fournira à la Société une copie de l’accord de traitement avec ses sous-traitants ultérieurs sur demande, dans la mesure où cela n’est pas contraire aux intérêts de JOIN.
3. JOIN coopérera, au moment de la conclusion de l’Accord, avec les sous-traitants ultérieurs nommés à l’Annexe 2 dans l’exécution de l’Accord, dont la Société accepte expressément le mandat.

1. JOIN est tenue de maintenir la confidentialité et le secret des données lors du traitement des données pour la Société.
2. JOIN n’utilisera pour l’exécution de l’accord que des employés ou d’autres mandataires suffisamment engagés au respect du secret des données ou de la confidentialité lors du traitement des données personnelles fournies et ayant été correctement informés des exigences en matière de protection des données.

1. JOIN met en œuvre les TOMs décrites à l’Annexe 1.
2. Pour la durée de la relation contractuelle, JOIN prendra toutes les mesures nécessaires pour sécuriser les données et la sécurité du traitement, en tenant notamment compte des normes technologiques actuelles, ainsi que pour réduire les éventuelles conséquences défavorables pour les personnes concernées. Afin de toujours pouvoir garantir un niveau de sécurité approprié pour le traitement des données, JOIN veillera à ce que les mesures mises en œuvre soient régulièrement révisées et, si nécessaire, améliorées. JOIN est libre d’apporter des modifications aux mesures techniques et organisationnelles qui augmentent le niveau de sécurité convenu. JOIN informera la Société en temps utile des modifications apportées à ces mesures.
3. JOIN est certifié conformément à la norme ISO 27001:2022.

1. JOIN peut, de temps à autre, modifier le présent DPA. JOIN en informera la Société au moins 30 jours avant que cette modification ne s’applique à la Société (« Date d’Effet »). Une modification prend effet à la Date d’Effet sans accord supplémentaire de la Société lorsqu’il (chacun un « Changement Automatique ») : (a) est requis par le droit applicable en matière de protection des données, une autorité de contrôle, une juridiction, ou une modification des clauses contractuelles types ou de tout mécanisme de transfert qui leur succéderait ; (b) reflète une modification de l’Annexe 1 ou de l’Annexe 2, régies respectivement par les art. 12 et 10 du DPA ; (c) est de nature clarificatrice ou corrige une erreur manifeste ; ou (d) ne réduit pas de manière substantielle la protection accordée aux données personnelles traitées au nom de la Société, ni les droits de la Société au titre du présent DPA. Toute autre modification prend effet à la Date d’Effet, à moins que la Société ne s’y oppose par écrit au préalable. L’objection doit identifier l’amendement contesté et indiquer les raisons pour lesquelles la Société considère qu’il ne s’agit pas d’un Changement Automatique. Lorsqu’une objection conforme est formulée, les parties recherchent un accord de bonne foi pendant 30 jours.
2. Toutes les déclarations des parties, notamment les notifications, annonces, déclarations et autres informations à transmettre à l’autre partie, doivent être faites par écrit pour être valables. Pour éviter toute ambiguïté, l’expression « par écrit » inclut la signature électronique et les autres communications textuelles, y compris par email.

1. En cas d’incompatibilité entre les dispositions du présent accord et les dispositions de l’accord de service, les dispositions du présent accord prévaudront.
2. Le présent DPA est disponible en plusieurs versions linguistiques. En cas de divergence entre la version anglaise du présent DPA et toute version traduite, et dans la mesure permise par le droit applicable, la version anglaise prévaut.
3. Le présent DPA est régi par le droit matériel suisse, à l’exclusion des règles de droit international privé et de la Convention des Nations Unies sur les contrats de vente internationale de marchandises (CVIM). Pour tous les litiges découlant du présent DPA ou en lien avec celui-ci, le tribunal ordinaire du siège de JOIN est exclusivement compétent.

Tim Ruffner, CEO and Founder JOIN Solutions

15 Septembre, 2026

JOIN met en œuvre et maintient des mesures techniques et organisationnelles conçues pour protéger les données personnelles traitées dans le cadre des Services contre la destruction accidentelle ou illicite, la perte, l’altération, la divulgation non autorisée, l’accès non autorisé, et d’autres formes illicites ou non autorisées de traitement.

Ces mesures sont mises en œuvre sur une base fondée sur les risques, en tenant compte de la nature, de la portée, du contexte et des finalités du traitement, ainsi que des risques pour les droits et libertés des personnes physiques.

JOIN examine et met à jour ses mesures techniques et organisationnelles selon les besoins afin de maintenir un niveau de sécurité adapté au risque et de refléter les évolutions des exigences légales, des Services et de l’état de l’art. Ces mesures visent à soutenir le cadre de gestion de la sécurité de l’information de JOIN ainsi que les obligations applicables en matière de protection des données.

1. Gouvernance de la sécurité de l’information

JOIN maintient un cadre de gestion de la sécurité de l’information comprenant des politiques documentées, des responsabilités attribuées, des processus d’évaluation et de traitement des risques, ainsi qu’un examen périodique des risques pertinents en matière de sécurité et de confidentialité.

JOIN maintient des procédures et des contrôles documentés relatifs à des domaines tels que la gestion des accès, la réponse aux incidents, le développement sécurisé, la gestion des vulnérabilités, la continuité des activités, la supervision des fournisseurs et la protection des données.

Le personnel ayant des responsabilités liées aux données personnelles des clients est soumis à des obligations de confidentialité et reçoit une formation en matière de sécurité et de protection des données adaptée à son rôle.

2. Sécurité du personnel et confidentialité

JOIN applique des processus d’intégration, de changement de rôle et de départ adaptés au rôle pour le personnel susceptible d’avoir accès aux systèmes ou aux données personnelles traitées dans le cadre des Services.

L’accès est accordé sur la base des besoins professionnels et du principe du moindre privilège, et le personnel est tenu de se conformer aux exigences internes de JOIN en matière de sécurité et de confidentialité.

JOIN prend des mesures raisonnables pour s’assurer que le personnel autorisé comprend ses responsabilités relatives aux informations confidentielles, à la protection des données et à l’utilisation acceptable des systèmes.

3. Sécurité physique et environnementale

JOIN s’appuie principalement sur des systèmes et infrastructures hébergés dans le cloud pour le traitement et le stockage des données personnelles des clients. La sécurité physique et environnementale de l’infrastructure d’hébergement sous-jacente est gérée par le fournisseur d’infrastructure cloud concerné, dans le cadre de son propre programme de sécurité et de ses engagements contractuels.

JOIN applique des mesures proportionnées de sécurité physique et de protection des équipements pour les environnements de travail au bureau et à distance pertinents pour ses activités.

La présente annexe ne décrit pas les contrôles spécifiques à l’infrastructure exploités uniquement par des fournisseurs de cloud tiers, sauf lorsque ces contrôles font partie de l’environnement géré par le fournisseur et soutenant les Services.

4. Gestion des identités et des accès

L’accès aux systèmes et aux données personnelles des clients est limité aux personnes autorisées ayant un besoin professionnel légitime. JOIN utilise des processus de gestion des accès conçus pour garantir que les droits d’accès sont attribués, modifiés et révoqués de manière contrôlée.

JOIN utilise des identités utilisateur uniques lorsque cela est approprié, restreint les accès privilégiés au personnel autorisé, et applique des contrôles d’authentification renforcés, y compris l’authentification multifactorielle pour les systèmes critiques lorsque cela est techniquement possible et approprié.

JOIN maintient des processus de gestion des identifiants, de revue des accès, de permissions basées sur les rôles, et de révocation rapide des accès suite à un changement de rôle ou à un départ.

5. Accès des clients et séparation des données

Les services de JOIN sont conçus pour séparer logiquement les données de chaque client de celles des autres clients et pour garantir que les utilisateurs ne peuvent accéder qu’aux données et fonctions pour lesquelles ils sont autorisés.

JOIN maintient une séparation entre les environnements de production et de non-production lorsque cela est approprié à des fins opérationnelles et de sécurité.

Lorsque des données personnelles sont traitées dans le cadre d’activités de test, de support, de dépannage ou de maintenance, ce traitement est limité à ce qui est nécessaire et soumis à des restrictions d’accès et des garanties appropriées.

6. Chiffrement et communications sécurisées

JOIN applique le chiffrement en transit pour les données personnelles transmises sur des réseaux publics, en utilisant des protocoles de communication sécurisés conformes aux normes du secteur.

JOIN applique le chiffrement au repos pour les systèmes de production contrôlés par JOIN utilisés pour stocker durablement les données personnelles des clients. Lorsque les données personnelles des clients sont traitées ou stockées via des services tiers, JOIN s’appuie sur les mesures de sécurité et garanties contractuelles applicables du fournisseur concerné.

Les clés cryptographiques, secrets, identifiants d’authentification et autres données de configuration sensibles connexes sont gérés au moyen de processus contrôlés conçus pour restreindre l’accès et la divulgation non autorisés.

7. Développement sécurisé et gestion des changements

JOIN maintient des processus de développement et de gestion des changements conçus pour réduire le risque de sécurité tout au long de la conception, du développement, des tests, du déploiement et de l’exploitation des Services.

Les modifications apportées aux systèmes de production font l’objet de procédures appropriées d’examen, de test et d’approbation, proportionnées à la nature et au risque du changement. JOIN maintient également une séparation entre les activités de développement, de test et de production lorsque cela est approprié.

Les considérations de sécurité sont intégrées au cycle de vie des logiciels, y compris la remédiation des vulnérabilités, la gestion des dépendances, le traitement des anomalies et la mise en production contrôlée des changements.

8. Gestion des vulnérabilités, des terminaux et des fournisseurs

JOIN maintient des processus permettant d’identifier, d’évaluer, de hiérarchiser et de remédier aux vulnérabilités affectant les systèmes sous son contrôle. Les mises à jour et correctifs de sécurité sont appliqués en fonction du risque, de la gravité et des exigences opérationnelles.

JOIN applique des mesures de sécurité des terminaux et de gestion des équipements adaptées aux terminaux gérés par l’entreprise et utilisés dans le cadre des Services.

Avant d’engager les fournisseurs ou sous-traitants ultérieurs concernés susceptibles de traiter des données personnelles des clients, JOIN réalise une diligence raisonnable appropriée et exige des garanties contractuelles adaptées aux services fournis et aux exigences légales applicables. JOIN gère les sous-traitants ultérieurs conformément à l’accord de traitement des données applicable.

9. Journalisation, surveillance et gestion des incidents

JOIN maintient des mesures de journalisation et de surveillance pour les systèmes pertinents afin de soutenir la surveillance de la sécurité, l’exploitation des services, le dépannage, l’investigation des incidents et la réponse à ceux-ci.

L’accès à ces journaux est limité au personnel autorisé, et les durées de conservation sont déterminées selon les exigences opérationnelles, de sécurité, légales et contractuelles. JOIN maintient un processus de gestion des incidents couvrant l’identification, l’évaluation, l’escalade, le confinement, la remédiation et le suivi post-incident des incidents de sécurité et opérationnels pertinents pour les Services.

En cas de violation de données personnelles, JOIN notifiera le client concerné conformément au DPA, et fournira une coopération raisonnable ainsi que les informations pertinentes disponibles afin de soutenir l’investigation, l’atténuation et le respect des obligations de notification applicables.

10. Disponibilité, sauvegarde, récupération et suppression des données

JOIN maintient des mesures conçues pour soutenir la disponibilité, la résilience et la capacité de récupération des Services, y compris des mesures de sauvegarde, de récupération, de surveillance des services et de continuité opérationnelle adaptées aux Services et à leur infrastructure sous-jacente.

Les dispositifs de sauvegarde et de récupération sont testés ou validés périodiquement conformément aux exigences opérationnelles, et JOIN maintient des processus de continuité des activités et de récupération destinés à soutenir la restauration suite à des incidents opérationnels ou de sécurité majeurs.

À la résiliation de la relation contractuelle concernée, JOIN supprime les données personnelles des clients conformément à l’accord applicable et aux instructions documentées du client, sauf lorsque la conservation est requise par le droit applicable. Les processus de suppression sont conçus pour retirer les données personnelles des systèmes actifs et pour gérer les données résiduelles dans les sauvegardes conformément aux processus de conservation et de suppression applicables.

Des questions sur cet accord, nos sous-traitants ultérieurs ou une demande relative aux droits des personnes ? Contactez notre équipe juridique à [email protected] ou via join.com/contact.